Windows Server – EAP-TLS User Certificate 802.1x Wireless Network

Guida passo-passo: CA Microsoft interna, registrazione automatica dei certificati e profilo Wi-Fi distribuito via GPO

Obiettivo: autenticare gli utenti sulla rete Wi-Fi aziendale tramite 802.1X con EAP-TLS, usando certificati utente emessi automaticamente da una Autorità di certificazione (CA) Microsoft interna (Active Directory Certificate Services). Al termine della procedura ogni utente di dominio riceve il proprio certificato senza interventi manuali e il PC si collega alla rete aziendale senza digitare alcuna password.

La guida nasce anche come risposta pratica alle modifiche introdotte dagli aggiornamenti di sicurezza Windows di ottobre 2026, che bloccano il Single Sign-On con PEAP-MSCHAPv2: i dettagli sono nella sezione Perché EAP-TLS: l'aggiornamento Windows di ottobre 2026.

Indice

• 1. Panoramica e prerequisiti
• 2. Creazione del modello di certificato utente
  • 2.1 Aprire la console dei modelli di certificato
  • 2.2 Duplicare il modello Utente
  • 2.3 Scheda Compatibilità
  • 2.4 Scheda Generale
  • 2.5 Scheda Sicurezza
  • 2.6 Scheda Nome soggetto
• 3. Pubblicazione del modello sulla CA
• 4. GPO di registrazione automatica dei certificati (Auto-Enrollment)
  • 4.1 Verifica dell'emissione
• 5. GPO del profilo Wi-Fi 802.1X
  • 5.1 Creazione del criterio wireless
  • 5.2 Profilo: connessione e sicurezza
  • 5.3 Impostazioni avanzate e Single Sign-On
  • 5.4 Proprietà del certificato e CA attendibile
• 6. Verifica sul client
  • 6.1 Prima connessione
  • 6.2 Controllo dei dettagli della connessione
• 7. Perché EAP-TLS: l'aggiornamento Windows di ottobre 2026
  • 7.1 Cosa è cambiato
  • 7.2 Quali dispositivi sono interessati
  • 7.3 Come verificare che il problema sia questo
  • 7.4 Esiste una soluzione rapida?
  • 7.5 Perché EAP-TLS è la soluzione duratura
• 8. Risoluzione dei problemi
  • 8.1 Evento 13001: "The operational criteria were not met"
  • 8.2 Avviso "Vuoi procedere con la connessione?"
  • 8.3 Tabella riepilogativa
• 9. Checklist finale

1. Panoramica e prerequisiti

La soluzione si basa su quattro componenti che lavorano insieme:

• Active Directory Certificate Services (AD CS) in modalità Enterprise CA: emette i certificati utente a partire da un modello dedicato (sezione 2 e sezione 3).
• Criteri di gruppo (GPO): una GPO sugli utenti abilita la registrazione automatica dei certificati (sezione 4); una GPO sui computer distribuisce il profilo Wi-Fi 802.1X (sezione 5).
• Server RADIUS (tipicamente Network Policy Server, NPS): verifica il certificato presentato dal client e autorizza l'accesso.
• Access point / controller Wi-Fi configurati con SSID in WPA2-Enterprise (o WPA3-Enterprise) che inoltrano l'autenticazione al server RADIUS.

Il flusso, in sintesi: l'utente esegue l'accesso al PC → la GPO di registrazione automatica richiede alla CA un certificato basato sul modello Utente - 802.1x → il profilo Wi-Fi distribuito via GPO usa quel certificato per autenticarsi con EAP-TLS → il server RADIUS convalida il certificato (catena della CA, validità, account AD associato tramite UPN) e concede l'accesso.

Prerequisiti

• Una CA Enterprise integrata in Active Directory già installata e funzionante (nella guida: ).
• Permessi di amministratore sulla CA e di modifica delle GPO nel dominio.
• Client Windows 10/11 aggiunti al dominio, con utenti e computer organizzati in OU distinte.
• Un server NPS (o altro RADIUS) con un certificato server emesso dalla stessa CA e un criterio di rete che accetti il metodo EAP Microsoft: Smart card o altro certificato.
• Il certificato radice della CA distribuito ai client (automatico per le CA Enterprise in dominio).

2. Creazione del modello di certificato utente

Il primo passo è creare un modello di certificato dedicato all'autenticazione 802.1X, partendo da una copia del modello predefinito Utente. Lavorare su una copia consente di personalizzare validità, permessi e nome soggetto senza toccare il modello originale.

2.1 Aprire la console dei modelli di certificato

1. Sul server della CA apri la console Autorità di certificazione (certsrv.msc).
2. Espandi il nodo della CA (), fai clic destro su Modelli di certificato e scegli Gestisci.

2.2 Duplicare il modello Utente

Nella Console dei modelli di certificato individua il modello Utente, fai clic destro e scegli Duplica modello. Si apre la finestra Proprietà nuovo modello, in cui configurare le schede descritte di seguito.

2.3 Scheda Compatibilità

Imposta la compatibilità minima supportata dall'infrastruttura. Nell'esempio:

• Autorità di certificazione: Windows Server 2016
• Destinatario certificato: Windows 10 / Windows Server 2016

Livelli più recenti sbloccano opzioni crittografiche moderne (es. provider KSP e algoritmi più robusti); assicurati che la CA e tutti i client rientrino nei sistemi operativi indicati.

2.4 Scheda Generale

• Nome visualizzato modello: Utente - 802.1x (sarà il nome da selezionare in sezione 3).
• Nome modello: Utente-802.1x (generato automaticamente, senza spazi).
• Periodo di validità: nell'esempio 10 anni; Periodo di rinnovo: 6 settimane.
• Seleziona Pubblica certificato in Active Directory.

2.5 Scheda Sicurezza

Perché la registrazione automatica funzioni, il gruppo destinatario deve avere tutte e tre le autorizzazioni seguenti:

• Lettura
• Registrazione
• Registrazione automatica

Nell'esempio le autorizzazioni sono assegnate ad Authenticated Users. In alternativa puoi assegnarle a Domain Users o a un gruppo dedicato (es. GRP-WiFi-8021X) per limitare i certificati ai soli utenti abilitati al Wi-Fi.

2.6 Scheda Nome soggetto

• Seleziona Crea in base alle informazioni di Active Directory.
• Formato del nome soggetto: Nome comune.
• Deseleziona Includi nome posta elettronica nel nome soggetto e Nome posta elettronica: se un utente non ha l'attributo mail valorizzato in AD, la richiesta del certificato fallirebbe.
• Lascia selezionato Nome entità utente (UPN) nel nome soggetto alternativo.

L'UPN (es. utente@) è il dato che il server RADIUS usa per associare il certificato all'account Active Directory: è anche il valore che l'utente vedrà alla prima connessione (vedi Figura 15).

3. Pubblicazione del modello sulla CA

Un modello appena creato esiste in Active Directory ma la CA non lo emette finché non viene pubblicato.

1. Torna nella console Autorità di certificazione (certsrv.msc).
2. Fai clic destro su Modelli di certificato > Nuovo > Modello di certificato da rilasciare.
3. Nella finestra Attivazione modelli di certificato seleziona Utente - 802.1x e conferma con OK.

4. GPO di registrazione automatica dei certificati (Auto-Enrollment)

La registrazione automatica fa sì che ogni utente richieda e rinnovi da solo il certificato basato sul modello creato in sezione 2, senza passare dalla console Certificati.

1. Apri Gestione Criteri di gruppo (gpmc.msc) e crea una nuova GPO, ad esempio Criteri Auto-Enroll certificati.
2. Modifica la GPO e spostati in Configurazione utente > Criteri > Impostazioni di Windows > Impostazioni sicurezza > Criteri chiave pubblica (in inglese: User Configuration\Policies\Windows Settings\Security Settings\Public Key Policies).
3. Apri Client Servizi certificati - Registrazione automatica (Certificate Services Client – Auto-Enrollment).
4. Imposta Modello configurazione su Abilitato.
5. Seleziona Rinnova i certificati scaduti, aggiorna quelli in sospeso e rimuovi i certificati revocati.
6. Seleziona Aggiorna i certificati che utilizzano modelli di certificato.
7. Conferma con OK.

Collega la GPO alla OU che contiene gli utenti che devono collegarsi al Wi-Fi. Trattandosi di un'impostazione in Configurazione utente, collegarla alla OU dei computer non avrebbe effetto.

4.1 Verifica dell'emissione

Sul client esegui gpupdate /force (oppure disconnetti e riconnetti l'utente). Dopo qualche istante il certificato emesso deve comparire:

• lato CA, in Certificati emessi: il modello viene mostrato con il suo identificativo (OID) e il richiedente è l'utente di dominio;
• lato client, in certmgr.msc > Personale > Certificati, oppure con il comando certutil -user -store My.

5. GPO del profilo Wi-Fi 802.1X

Il profilo Wi-Fi viene distribuito ai PC tramite una GPO computer, così che la rete compaia già configurata sui client senza interventi manuali.

5.1 Creazione del criterio wireless

1. Crea una nuova GPO e collegala alla OU in cui si trovano i computer da configurare.
2. Modifica la GPO e spostati in Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni sicurezza > Criteri rete wireless (IEEE 802.11) (Computer Configuration\Policies\Windows Settings\Security Settings\Wireless Network (IEEE 802.11) Policies).
3. Fai clic destro e scegli Crea nuovo criterio di rete wireless per Windows Vista e versioni successive (Create a New Wireless Network Policy for Windows Vista and Later Releases).
4. Nella scheda Generale assegna un nome al criterio (es. CAN - Enterprise), lascia attiva l'opzione Usa Servizio configurazione automatica WLAN di Windows per i client e premi Aggiungi... > Infrastruttura per creare il profilo.

5.2 Profilo: connessione e sicurezza

Nella scheda Connessione del profilo inserisci il nome del profilo e l'SSID esatto trasmesso dagli access point. Nella scheda Sicurezza imposta:

• Autenticazione: WPA2-Enterprise (o WPA3-Enterprise se supportato da AP e client);
• Crittografia: AES-CCMP;
• Metodo di autenticazione di rete: Microsoft: Smart card o altro certificato (è il metodo EAP-TLS);
• Modalità autenticazione: Autenticazione utente (perché il certificato è dell'utente, non del computer);
• Numero massimo errori di autenticazione: 1;
• seleziona Memorizza informazioni utente per successive connessioni a questa rete.

5.3 Impostazioni avanzate e Single Sign-On

Premi Avanzate nella scheda Sicurezza. Nella sezione Single Sign-On:

• seleziona Attiva Single Sign-On per la rete;
• scegli Esegui immediatamente dopo l'accesso utente;
• imposta un Ritardo massimo connettività adeguato (es. 10 secondi).

5.4 Proprietà del certificato e CA attendibile

Torna alla scheda Sicurezza e premi Proprietà accanto al metodo di autenticazione:

• Per la connessione: Utilizza un certificato su questo computer, con Utilizza selezione certificati semplice (opzione consigliata);
• seleziona Verifica l'identità del server mediante convalida del certificato;
• in Autorità di certificazione radice attendibili seleziona la CA aziendale (). Se nell'elenco compare più volte con lo stesso nome (ad esempio dopo un rinnovo della CA), selezionale tutte;
• facoltativo ma consigliato: in Connetti ai server seguenti indica il nome del server RADIUS (es. .) e seleziona Non chiedere all'utente di autorizzare nuovi server o autorità di certificazione attendibili, così il client rifiuta in automatico server non riconosciuti.

Conferma tutte le finestre con OK.

6. Verifica sul client

1. Sul PC esegui gpupdate /force (o riavvia) per applicare entrambe le GPO.
2. In Impostazioni > Rete e Internet > Wi-Fi > Gestisci reti conosciute la rete deve comparire con la dicitura Aggiunto per criterio aziendale.

6.1 Prima connessione

Alla prima connessione Windows può chiedere di scegliere il certificato: deve comparire quello emesso dal modello Utente - 802.1x, riconoscibile dall'UPN dell'utente (utente@). Conferma con OK; grazie all'opzione Memorizza informazioni utente la scelta non verrà più richiesta.

6.2 Controllo dei dettagli della connessione

Nelle proprietà della rete Wi-Fi il campo Tipo di info di accesso deve riportare Microsoft: Smart card o altro certificato (EAP-TLS).

Comandi utili per la verifica:

REM Verifica che entrambe le GPO siano applicate
gpresult /r
REM Il profilo Wi-Fi deve risultare applicato da Criteri di gruppo
netsh wlan show profiles
REM Stato della connessione e SSID
netsh wlan show interfaces
REM Certificati presenti nell'archivio dell'utente
certutil -user -store My

Lato server, nel Visualizzatore eventi di NPS (registro Sicurezza), l'evento 6272 indica un accesso concesso, l'evento 6273 un accesso negato con il relativo codice motivo.

7. Perché EAP-TLS: l'aggiornamento Windows di ottobre 2026

Questa sezione riassume perché il passaggio da PEAP-MSCHAPv2 a EAP-TLS non è più rimandabile. Il contenuto è tradotto e adattato dall'articolo di IronWiFi citato in fondo alla sezione.

7.1 Cosa è cambiato

Windows 11 24H2 e Windows Server 2025 hanno rimosso il protocollo NTLMv1, ma all'interno di MS-CHAPv2 sopravviveva una crittografia derivata da NTLMv1. Questo riguarda PEAP-MSCHAPv2 ed EAP-MSCHAPv2 quando un dispositivo in dominio usa le credenziali Windows dell'utente connesso per il Single Sign-On (SSO). Microsoft ha eliminato questo meccanismo in due fasi:

• Modalità Audit (da fine agosto 2025): Windows registrava un avviso a ogni uso di credenziali derivate da NTLMv1 per l'SSO, ma la connessione funzionava ancora.
• Modalità Enforce (dal 13 ottobre 2026): gli aggiornamenti di sicurezza di ottobre (tra cui KB5127648 per Windows 11 24H2, 25H2 e 26H2 e KB5126646 per Windows Server 2025) hanno cambiato il comportamento predefinito: se il valore di registro BlockNtlmv1SSO non è impostato, Windows ora blocca queste richieste SSO invece di limitarsi a registrarle.

Secondo Microsoft la modifica "potrebbe influire sulle connessioni Wi-Fi, Ethernet e VPN che usano l'autenticazione basata su MS-CHAPv2". L'aggiornamento non crea il valore di registro: cambia ciò che Windows fa quando il valore è assente. Per questo molte aziende sono state colte di sorpresa: nulla è cambiato nelle GPO o in Intune, eppure il comportamento sì.

7.2 Quali dispositivi sono interessati

La modifica di ottobre riguarda solo i dispositivi con Credential Guard disattivato. Non è però una via d'uscita: con Credential Guard attivo l'SSO per MS-CHAP e NTLMv1 era già bloccato, e Credential Guard è attivo per impostazione predefinita sui dispositivi Enterprise ed Education idonei a partire da Windows 11 22H2. In entrambi i casi, l'SSO PEAP basato su password è finito sui Windows gestiti moderni.

Due dettagli utili per la diagnosi: l'inserimento manuale delle credenziali continua a funzionare, quindi chi digita utente e password può ancora collegarsi; inoltre il blocco avviene sul dispositivo Windows, prima che venga prodotta una risposta MS-CHAPv2 valida: nessuna modifica sul server RADIUS può ripristinare l'SSO.

7.3 Come verificare che il problema sia questo

Prima di modificare qualsiasi cosa, verifica la causa. Microsoft ha aggiunto eventi dedicati al registro Microsoft-Windows-NTLM/Operational:

• Evento 4025 (Errore): "An attempt to use NTLMv1-derived credentials for Single Sign-On was blocked due to policy". È il blocco della modalità Enforce.
• Evento 4024 (Avviso): l'evento della modalità Audit. Se lo trovi su dispositivi che non hanno ancora installato l'aggiornamento di ottobre, quei dispositivi smetteranno di collegarsi quando lo installeranno.

Su un portatile interessato apri il Visualizzatore eventi > Registri applicazioni e servizi > Microsoft > Windows > NTLM > Operational e cerca l'evento 4025 all'orario della connessione fallita. Poi controlla se il profilo Wi-Fi o cablato usa PEAP con "Usa automaticamente il nome utente e la password di accesso a Windows". Se entrambe le condizioni sono vere, hai trovato la causa.

Gli avvisi 4024 sono anche il miglior strumento di inventario: raccoglierli da tutti i dispositivi indica quali PC e profili dipendono ancora dall'SSO PEAP, così da dimensionare la migrazione invece di andare a intuito.

7.4 Esiste una soluzione rapida?

Microsoft documenta un'unica eccezione temporanea: impostare BlockNtlmv1SSO a 0 (REG_DWORD) in HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 riporta il dispositivo in modalità Audit, senza bisogno di riavvio. Funziona solo sui dispositivi con Credential Guard disattivato.

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f

L'altra opzione a breve termine è organizzativa: far digitare le credenziali agli utenti interessati. È scomoda, non aiuta i dispositivi che hanno bisogno della rete prima dell'accesso e mantiene le password nel percorso Wi-Fi, ma permette di continuare a lavorare mentre si risolve il problema alla radice, configurando EAP-TLS come descritto dalla sezione 2 alla sezione 6.

7.5 Perché EAP-TLS è la soluzione duratura

Nella documentazione di Credential Guard Microsoft indica chiaramente la strada: passare dalle connessioni basate su MS-CHAPv2 all'autenticazione basata su certificati, come PEAP-TLS o EAP-TLS, che Credential Guard non blocca. EAP-TLS risolve anche le debolezze che hanno spinto Microsoft a dismettere il vecchio metodo:

• Nessuna password in transito. Il dispositivo dimostra la propria identità con una chiave privata che non lascia mai il PC: non esiste una credenziale riutilizzabile da sottrarre con un access point clone (evil twin) o da forzare offline.
• Connessione prima dell'accesso. Con un certificato computer il portatile può collegarsi già alla schermata di accesso. Con i certificati utente usati in questa guida la connessione avviene invece subito dopo il logon (vedi Evento 13001).
• Indipendenza dai cambi password. Il reset della password non scollega più l'utente dal Wi-Fi.
• Stesso funzionamento su Wi-Fi e cablato. Lo stesso certificato e lo stesso criterio 802.1X coprono entrambi: importante, perché la modifica di ottobre ha colpito anche le reti Ethernet.

Fonte: IronWiFi – Windows PEAP-MSCHAPv2 SSO and EAP-TLS

8. Risoluzione dei problemi

8.1 Evento 13001: "The operational criteria were not met"

I problemi legati al Single Sign-On si individuano nel registro Microsoft-Windows-WLAN-AutoConfig/Operational. Nel contesto di un'autenticazione EAP-TLS con certificati utente, l'evento 13001 ("The operational criteria were not met", criteri operativi non soddisfatti) ha un significato preciso, legato al momento in cui avviene il tentativo di connessione.

L'evento viene registrato dalla componente di Single Sign-On pre-logon (WlansvcPrelogon). Poiché la rete è configurata per usare certificati utente, il computer per definizione non può collegarsi al Wi-Fi prima che l'utente abbia effettuato l'accesso e sbloccato il proprio archivio certificati (user store). I "criteri operativi non soddisfatti" indicano che il sistema ha valutato i requisiti per avviare la connessione Wi-Fi alla schermata di blocco di Windows (pre-logon), ma ha dovuto interrompere la procedura per un'incompatibilità logica.

Cause principali con EAP-TLS utente

• SSO impostato prima del logon. Nelle impostazioni avanzate 802.1X del profilo è attiva l'opzione Esegui immediatamente prima dell'accesso utente. Poiché il certificato è dell'utente (e non del computer), in quella fase il certificato non è ancora accessibile e i criteri operativi non possono essere rispettati.
• Certificato non ancora emesso. Al primo accesso l'utente potrebbe non avere ancora il certificato: verifica come indicato in sezione 4.1.
• Profilo con autenticazione computer. Se la Modalità autenticazione è Autenticazione computer o Utente o computer senza un certificato computer disponibile, la connessione pre-logon non può riuscire (vedi sezione 5.2).

Soluzione: imposta l'SSO su Esegui immediatamente dopo l'accesso utente, come in sezione 5.3. Con questa impostazione l'evento 13001 può comunque comparire alla schermata di accesso, ma è atteso e non indica un errore: la connessione avviene subito dopo il logon.

8.2 Avviso "Vuoi procedere con la connessione?"

Se alla connessione compare l'avviso "Vuoi procedere con la connessione? Se prevedi di trovare in questo percorso, procedi e connettiti..." (e quindi l'SSO non funziona), il client non riesce a convalidare il certificato del server RADIUS perché la CA attendibile non è stata selezionata nella GPO.

Soluzione: nella GPO del profilo Wi-Fi apri Proprietà del metodo Smart card o altro certificato e seleziona in Autorità di certificazione radice attendibili la CA aziendale; se compare più volte (es. certificato della CA rinnovato), selezionale tutte. Applica la GPO con gpupdate /force e riprova. Il procedimento completo è in sezione 5.4.

8.3 Tabella riepilogativa

9. Checklist finale

1. Modello Utente - 802.1x creato con UPN nel nome soggetto e autorizzazioni di registrazione automatica → sezione 2.
2. Modello pubblicato sulla CA → sezione 3.
3. GPO di registrazione automatica collegata alla OU utenti e certificato emesso → sezione 4.
4. GPO profilo Wi-Fi collegata alla OU computer, con EAP-TLS, autenticazione utente, SSO dopo l'accesso e CA radice selezionata → sezione 5.
5. Client collegato con tipo di accesso EAP-TLS → sezione 6.
6. Eventuali eccezioni BlockNtlmv1SSO tracciate e con scadenza → sezione 7.4.